Znuny 7.3.8 und LTS 6.5.26: nächstes Sicherheitsupdate

30.10.2026 · Release vom 14.10.2026 · Znuny 7.3.8 und Znuny LTS 6.5.26

Am 14. Oktober 2026 sind Znuny 7.3.8 und Znuny LTS 6.5.26 erschienen. Die Patchlevel schließen eine als mittel eingestufte Sicherheitslücke beim Hochladen von Anhängen und lösen damit die erst im September erschienenen Versionen 7.3.7 und 6.5.25 ab.

Welche Lücke geschlossen wird

Unsichere Formular-IDs bei Anhang-Uploads (ZSA-2026-16, mittel, CVE beantragt): Während ein Ticket oder eine Antwort verfasst wird, legt Znuny hochgeladene Anhänge unter einer Formular-ID zwischen. Diese ID wurde mit einem nicht kryptografisch sicheren Zufallsgenerator erzeugt und war nicht an den Benutzer oder die Sitzung gebunden. Ein angemeldeter Benutzer, der die ID eines anderen erriet oder kannte, konnte dessen Anhänge einsehen oder austauschen, solange die Nachricht noch nicht abgeschickt war.

Ausnutzbar ist die Lücke nur für angemeldete Benutzer. Einen Workaround nennt das Advisory nicht. Zusätzlich enthalten beide Versionen Fehlerbehebungen, 7.3.8 außerdem kleinere Verbesserungen.

Wer betroffen ist

Betroffen sind laut Advisory Znuny LTS 6.5.1 bis 6.5.25, Znuny 7.3.1 bis 7.3.7 sowie alle Versionen der Reihen 6.0 bis 6.4 und 7.0 bis 7.2. Für die älteren Reihen gibt es keine Korrektur mehr – sie sind nur durch ein Upgrade abzusichern.

Wer das Sicherheitsupdate vom September noch nicht eingespielt hat, schließt mit 7.3.8 bzw. 6.5.26 gleich auch die beiden damals als hoch eingestuften Login-Lücken.

Unsere Empfehlung

• Patchlevel zeitnah einspielen: auf 7.3.8 bzw. LTS 6.5.26.
• Vor dem Update wie gewohnt eine Sicherung von Datenbank und Installationsverzeichnis erstellen.
• Eingesetzte Add-ons nach dem Update kurz testen. Innerhalb einer Linie ist das Patchlevel-Update in der Regel unkompliziert.
• Systeme auf 7.2 oder älter mittelfristig auf eine gepflegte Linie bringen.

Die vollständigen Angaben finden Sie in der Release-Übersicht und unter den Security Advisories von Znuny.